Wordfence è uno dei plugin di sicurezza WordPress più diffusi: la pagina ufficiale su WordPress.org riporta oltre 5 milioni di installazioni attive. Ma installarlo e lasciare tutte le impostazioni predefinite non significa automaticamente aver configurato bene la sicurezza del sito.
Il plugin combina infatti strumenti con funzioni molto diverse: Web Application Firewall, scanner di sicurezza, protezione degli accessi, passkey, autenticazione a due fattori, Live Traffic e sistemi di blocco. Alcune funzioni lavorano in modo quasi automatico, altre vanno adattate al tipo di sito, all’hosting e al traffico reale.
Il punto importante è proprio questo: Wordfence funziona meglio quando sai quale problema deve risolvere ogni componente, invece di trattare ogni opzione come qualcosa da portare al livello più aggressivo possibile.
In questa guida vediamo quindi come funziona Wordfence, quali impostazioni configurare per prime, dove può incidere sulle risorse, cosa cambia tra Free e Premium e soprattutto dove termina il lavoro di un plugin di sicurezza e inizia quello di una vera bonifica di un sito compromesso.
Cos’è Wordfence e cosa protegge davvero
Wordfence è una suite di sicurezza che lavora direttamente sull’installazione WordPress. La versione gratuita comprende già firewall, scanner, protezione brute force, sicurezza del login, passkey, 2FA e strumenti di monitoraggio.
Questo la rende una soluzione più articolata del classico plugin che aggiunge qualche regola di hardening. Per capire come configurarla, però, conviene separare tre funzioni principali.
Firewall, scanner e Login Security fanno lavori diversi
Il firewall cerca di fermare richieste dannose mentre arrivano al sito.
Lo scanner cerca invece problemi già presenti o rilevabili nell’installazione: malware, backdoor, file modificati, URL malevoli, plugin vulnerabili e altre anomalie.
La sezione Login Security protegge l’autenticazione attraverso passkey, 2FA, CAPTCHA e controlli collegati agli accessi.
È una distinzione fondamentale. Un firewall può impedire un attacco senza sapere se nel filesystem esiste già una backdoor. Uno scanner può trovare un file alterato senza impedire a un aggressore di indovinare una password debole. La protezione del login riduce il rischio di compromissione dell’account, ma non corregge una vulnerabilità in un plugin.
Per questo Wordfence va pensato come un insieme di livelli complementari, non come una singola funzione “antivirus”.
Se vuoi inquadrare questi livelli nel contesto più ampio dell’hardening, trovi qui la nostra guida alla sicurezza WordPress.
Passkey e 2FA sono entrambe disponibili, ma non funzionano allo stesso modo
Nelle versioni attuali Wordfence supporta anche le passkey, oltre alla tradizionale autenticazione a due fattori. La funzione è disponibile sia per installazioni Free sia Premium e può essere abilitata per i ruoli utente consentiti.
Con una passkey non devi necessariamente digitare username e password: l’autenticazione viene completata attraverso una credenziale crittografica custodita dal dispositivo, dal sistema operativo, da una security key o da un password manager compatibile. L’utente può quindi autenticarsi, a seconda del dispositivo, tramite impronta, riconoscimento facciale, PIN o altra verifica locale.
La 2FA di Wordfence segue invece il modello classico password + codice TOTP generato da un’app di autenticazione.
Non sono quindi due nomi per la stessa protezione. Più avanti vedremo quando scegliere l’una, l’altra o mantenerle disponibili per utenti differenti.
Cosa Wordfence non sostituisce
Wordfence aumenta sensibilmente gli strumenti disponibili per prevenire, individuare e analizzare problemi di sicurezza, ma non sostituisce l’intera strategia di sicurezza WordPress.
Restano necessari almeno:
- aggiornamenti regolari di core, temi e plugin;
- eliminazione di software abbandonato o non necessario;
- credenziali e privilegi utente gestiti correttamente;
- backup affidabili e separati dal sito;
- configurazione adeguata di hosting, PHP e server;
- protezione dell’infrastruttura e dell’origine quando richiesta;
- un processo di incident response se il sito viene compromesso.
La differenza diventa ancora più importante dopo un’infezione: trovare un file malevolo non significa avere ricostruito come l’attaccante è entrato, quali account abbia modificato o se siano rimaste altre persistenze.
Come funziona il firewall di Wordfence
Il firewall di Wordfence è un endpoint Web Application Firewall: gira sul server che ospita WordPress invece di funzionare esclusivamente su una rete esterna posta davanti all’origine.
Questa architettura gli permette di lavorare molto vicino all’applicazione WordPress. Ma c’è una differenza importante fra installare semplicemente il plugin e ottimizzare realmente il firewall.
Basic WordPress Protection ed Extended Protection
Subito dopo l’installazione Wordfence parte normalmente in modalità Basic WordPress Protection. In questa configurazione viene caricato come un normale plugin dopo che WordPress ha già iniziato il proprio bootstrap.
Questo significa che può comunque filtrare molte richieste malevole, ma alcuni file PHP direttamente raggiungibili o codice eseguito prima del caricamento completo dei plugin possono trovarsi fuori dal punto ideale di intercettazione.
Con Extended Protection, Wordfence modifica invece la configurazione PHP in modo che il suo firewall venga caricato prima di WordPress e degli altri file PHP pertinenti. La documentazione ufficiale utilizza normalmente auto_prepend_file e, a seconda dell’ambiente server, può intervenire su .user.ini, .htaccess o php.ini.
In pratica il flusso passa da:
richiesta → WordPress → plugin Wordfence
a un modello più vicino a:
richiesta PHP → Wordfence WAF → WordPress
Questa differenza spiega perché “plugin installato” e “firewall ottimizzato” non sono la stessa cosa.
Se vuoi approfondire il funzionamento generale di questo tipo di protezione, abbiamo una guida specifica su cos’è un WAF e come protegge un’applicazione web.
Learning Mode: utile durante la configurazione, non da lasciare indefinitamente
Il Learning Mode permette a Wordfence di osservare richieste che assomigliano a un attacco e aggiungere alla allowlist quelle che fanno parte del normale funzionamento del sito.
È utile soprattutto quando l’installazione comprende funzionalità che generano richieste particolari: ecommerce, plugin complessi, API, form personalizzati o integrazioni che potrebbero produrre falsi positivi.
Ma c’è un limite evidente: durante il Learning Mode le normali regole WAF non stanno operando come in modalità “Enabled and Protecting”. Altre protezioni, come brute force e Login Security, possono restare attive, ma il Learning Mode non dovrebbe diventare lo stato permanente del firewall. Wordfence stesso sconsiglia di utilizzarlo quando il sito è già sotto attacco o è appena stato compromesso.
La sequenza sensata è quindi:
- configurare il plugin;
- lasciare che Wordfence apprenda il traffico legittimo quando necessario;
- testare le funzioni importanti del sito;
- passare a Enabled and Protecting;
- controllare eventuali falsi positivi in Live Traffic.
Wordfence e un WAF cloud non sono necessariamente alternativi
Un endpoint WAF e un WAF che opera su un reverse proxy intervengono in punti diversi dell’architettura.
Con servizi come Cloudflare, per esempio, il traffico passa prima attraverso la rete del provider e solo successivamente raggiunge il server origin. Cloudflare documenta esplicitamente il proprio funzionamento come reverse proxy.
Questo significa che un livello esterno può filtrare o assorbire parte del traffico prima che consumi risorse sull’hosting, mentre Wordfence può applicare controlli molto vicini a WordPress.
Non serve necessariamente scegliere “uno oppure l’altro”. In alcuni progetti la soluzione più sensata è:
Internet → CDN/reverse proxy/WAF esterno → server → Wordfence → WordPress
Bisogna però configurare correttamente gli IP originali dei visitatori. Se Wordfence interpreta come visitatore l’IP del proxy, rate limiting, blocking e Live Traffic possono produrre risultati sbagliati.
Come installare Wordfence e configurarlo per la prima volta
Wordfence può essere installato dal repository di WordPress come qualsiasi altro plugin. Dopo l’attivazione viene richiesta una licenza: puoi partire dalla versione Free senza acquistare Premium.
La tentazione, a questo punto, è aprire All Options e modificare decine di parametri. È il modo meno utile di iniziare.
La configurazione iniziale dovrebbe concentrarsi su poche cose che cambiano realmente la qualità della protezione.
1. Ottimizza prima il firewall
Vai in:
Wordfence → Firewall → All Firewall Options
e controlla Protection Level.
Se leggi Basic WordPress Protection, esegui la procedura Optimize the Wordfence Firewall. Quando il server è compatibile e la procedura termina correttamente, lo stato deve diventare Extended Protection.
Prima di modificare file di configurazione del server, scarica i backup proposti da Wordfence. Su alcuni hosting l’ottimizzazione richiede impostazioni specifiche o l’intervento del provider.
Non modificare manualmente php.ini, .user.ini o .htaccess se non sai esattamente come il tuo hosting gestisce PHP.
2. Verifica come Wordfence rileva gli indirizzi IP
Questa impostazione viene spesso ignorata, ma può influire su diverse altre funzioni.
In:
Wordfence → All Options → General Wordfence Options
trovi How does Wordfence get IPs.
Controlla che Your IP with this setting corrisponda realmente al tuo indirizzo pubblico.
Il problema emerge soprattutto quando davanti a WordPress ci sono reverse proxy, CDN o infrastrutture che inoltrano l’IP del visitatore tramite header HTTP. Wordfence permette di configurare proxy fidati e controlla periodicamente eventuali problemi nella rilevazione degli indirizzi.
Un’impostazione sbagliata può avere conseguenze concrete: potresti vedere molti utenti provenire dallo stesso IP, applicare blocchi alla sorgente sbagliata o alterare i dati di Live Traffic.
3. Configura gli alert che richiedono davvero un’azione
Wordfence può inviare notifiche per diversi eventi: lockout, login amministrativi, incremento degli attacchi, problemi rilevati dallo scanner e altro.
Ricevere tutto non significa controllare meglio il sito. Se le notifiche diventano rumore, quelle importanti rischiano di essere ignorate.
La documentazione sugli alert di Wordfence permette di scegliere quali eventi generano un’email.
Per un normale sito aziendale darei priorità ad avvisi che richiedono realmente una decisione: vulnerabilità, modifiche sospette, problemi di scansione o eventi di sicurezza anomali. Le notifiche puramente informative possono essere ridotte se non vengono utilizzate operativamente.
Come configurare la protezione degli accessi
Il login è uno dei punti in cui Wordfence offre maggiori possibilità di intervento. Anche qui, però, serve evitare impostazioni aggressive senza analizzare il comportamento degli utenti reali.
Brute Force Protection: limita gli attacchi senza bloccare i tuoi utenti
La protezione brute force limita ripetuti tentativi di login provenienti da uno stesso indirizzo.
Wordfence permette di stabilire:
- quanti tentativi falliti provocano un lockout;
- quanti tentativi di recupero password sono consentiti;
- quanto dura il blocco;
- se bloccare immediatamente determinati username;
- come trattare password compromesse e XML-RPC.
Il punto che spesso viene frainteso è la soglia. Più bassa non significa automaticamente più sicura.
Un utente legittimo può sbagliare la password diverse volte. Un ecommerce o un sito membership ha inoltre comportamenti molto diversi da un sito aziendale con due soli amministratori.
La stessa documentazione Wordfence raccomanda di lasciare margine agli utenti reali invece di usare lockout estremamente bassi e suggerisce di valutare con maggiore attenzione il blocco immediato degli username inesistenti quando esistono molti utenti.
Quindi partirei da una configurazione prudente, osserverei i tentativi reali e restringerei le soglie solo quando i dati mostrano che è necessario.
Passkey: la soluzione più interessante per gli account amministrativi
Le passkey eliminano il normale segreto condiviso rappresentato dalla password dal processo di login.
Per aggiungerne una:
- apri Wordfence → Login Security;
- entra nella sezione
Passkeys; - assegna un nome riconoscibile alla credenziale;
- avvia la registrazione;
- conferma sul dispositivo, browser, security key o password manager;
- verifica che la nuova passkey compaia tra quelle registrate.
La credenziale privata non viene semplicemente inviata al sito durante il login: il sistema utilizza un meccanismo crittografico che permette di dimostrare il possesso della passkey. Questo riduce il problema del phishing tradizionale basato sulla raccolta della password.
Wordfence permette agli amministratori di vedere o rimuovere passkey di altri utenti, ma la registrazione deve essere completata dal proprietario dell’account sul proprio dispositivo.
Per gli amministratori e per chi gestisce accessi sensibili è una funzione che prenderei seriamente in considerazione.
2FA: resta utile e ha un modello differente
La 2FA di Wordfence usa codici TOTP generati da applicazioni compatibili.
Per attivarla:
- entra in Login Security;
- scansiona il QR code con l’app di autenticazione;
- scarica i recovery codes;
- salva i recovery codes in un posto separato e sicuro;
- inserisci il codice TOTP;
- attiva la protezione;
- prova il login da un’altra sessione prima di chiudere quella corrente.
L’ultimo passaggio evita di scoprire un problema soltanto dopo essere rimasto fuori dal backend.
I recovery codes sono particolarmente importanti: ciascuno può essere utilizzato una sola volta e permette di recuperare l’accesso quando non hai più il dispositivo che genera i codici.
Passkey o 2FA: quale scegliere?
Non vedo una ragione per trasformarle in una gara.
Per un account amministrativo personale, dove dispositivi e password manager sono gestiti bene, la passkey offre un flusso molto comodo e resistente al phishing.
La 2FA rimane utile quando vuoi mantenere il classico flusso password + secondo fattore oppure quando l’ambiente dell’utente non supporta bene le passkey.
Su un sito con più utenti conviene quindi ragionare per ruolo:
| Scenario | Scelta sensata |
|---|---|
| Amministratore con dispositivi moderni | Passkey |
| Utente che preferisce password + authenticator | 2FA |
| Account ad alto privilegio senza passkey | 2FA fortemente consigliata |
| Utenti con login personalizzati | Testare compatibilità prima del rollout |
| WooCommerce | Abilitare e testare l’integrazione sul flusso reale |
Wordfence supporta WooCommerce, ma temi e plugin che modificano pesantemente l’autenticazione possono interferire con il flusso. La documentazione raccomanda infatti di testare le pagine di login dopo l’attivazione della relativa integrazione.
Come usare lo scanner di Wordfence
Lo scanner non controlla soltanto se esiste una firma malware conosciuta.
Analizza file e contenuti alla ricerca di malware, backdoor, shell, URL sospetti e pattern di infezione; controlla inoltre lo stato di core, plugin e temi e può confrontare alcuni file con le copie presenti nel repository ufficiale.
Questo permette di individuare anche un’altra categoria di problemi: file legittimi che sono stati modificati rispetto alla versione originale.
Integrity check: perché un file modificato non è automaticamente malware
Supponiamo che wp-includes contenga un file diverso dalla versione ufficiale.
Lo scanner può segnalarlo. Ma il risultato deve ancora essere interpretato.
La modifica potrebbe essere:
- codice inserito da un attaccante;
- un file danneggiato;
- un residuo di un aggiornamento;
- una personalizzazione legittima;
- una modifica manuale fatta in passato.
Per i file di core e per temi/plugin disponibili su WordPress.org, Wordfence può in alcuni casi offrire la funzione Repair, che sostituisce il file con una copia originale.
È comodo, ma devi sapere cosa stai sovrascrivendo. Se qualcuno ha modificato direttamente un tema o un plugin invece di usare child theme, hook o estensioni appropriate, il repair elimina anche quella personalizzazione.
Standard Scan, Limited Scan e High Sensitivity
Per l’uso ordinario partirei dal Standard Scan.
Il Limited Scan serve soprattutto quando le risorse dell’hosting non consentono una scansione normale.
High Sensitivity amplia invece la ricerca di pattern potenzialmente sospetti, aumentando anche il rischio di falsi positivi.
È una funzione da usare quando esiste una ragione per investigare più a fondo, non un interruttore da lasciare necessariamente attivo perché “più alto = più sicuro”.
La documentazione sui risultati avverte esplicitamente che un High Sensitivity Scan può produrre falsi positivi e che cancellare un file legittimo sulla base del solo warning può danneggiare il sito.
Critical, High, Medium e Low non sono pulsanti di priorità automatica
La severità aiuta a ordinare i finding, ma la decisione deve considerare cosa è stato rilevato.
Una vulnerabilità conosciuta in un plugin attivo può richiedere l’aggiornamento o la sostituzione del componente.
Un file di core modificato richiede di capire se la modifica sia legittima.
Un URL sospetto in un post può indicare spam injection.
Un file sconosciuto in una directory di sistema può meritare un’indagine ancora diversa.
Prima di utilizzare Delete o Repair:
- identifica il file;
- verifica a quale componente appartiene;
- crea un backup;
- controlla se contiene personalizzazioni legittime;
- applica la correzione;
- esegui una nuova scansione;
- controlla che il sito continui a funzionare.
Il risultato dello scanner è l’inizio della diagnosi, non sempre la diagnosi completa.
Live Traffic e Blocking: cosa monitorare senza sprecare risorse
Live Traffic permette di osservare richieste, login, tentativi bloccati e altre attività che Wordfence registra in tempo quasi reale.
È molto utile quando devi capire perché una richiesta è stata bloccata o identificare il comportamento di un determinato IP. Non è però uno strumento da confondere con una normale piattaforma analytics.
Security Only è il default che sceglierei nella maggior parte dei casi
Wordfence permette di registrare:
- tutto il traffico;
- soltanto il traffico relativo alla sicurezza.
La documentazione raccomanda Security Only, che è anche l’impostazione predefinita sulle nuove installazioni. Registrare tutto genera più attività e più scritture nel database; su hosting con risorse limitate può diventare un costo inutile.
Userei All Traffic temporaneamente quando serve realmente osservare richieste che non vengono classificate come eventi di sicurezza, per esempio durante una diagnosi.
Una volta risolto il problema, tornerei a Security Only.
Bloccare manualmente ogni IP che compare nei log serve poco
Un errore comune è aprire Live Traffic, vedere centinaia di tentativi malevoli e iniziare a bloccare IP uno alla volta.
Il problema è la scala.
Botnet, proxy, VPN e infrastrutture compromesse possono cambiare continuamente indirizzo. Passare il tempo a inseguire manualmente ciascuna sorgente diventa presto inefficiente.
I blocchi manuali hanno più senso quando:
- un IP specifico crea un problema persistente;
- devi reagire a un comportamento chiaramente identificato;
- conosci una rete che non deve raggiungere una determinata risorsa;
- stai svolgendo un’analisi temporanea.
Per il traffico automatizzato generico sono più utili firewall rules, rate limiting e sistemi di reputazione.
Rate Limiting: prima osserva il traffico normale
Il rate limiting permette di intervenire quando crawler o utenti superano determinate frequenze di richieste o generano molti errori 404.
Qui le soglie universali sono pericolose.
Un WooCommerce con molte chiamate AJAX, un sito editoriale, un’API e una landing statica hanno profili completamente differenti. Una soglia apparentemente molto restrittiva può bloccare crawler legittimi o utenti reali.
La documentazione Wordfence suggerisce infatti valori diversi in base al tipo di richiesta e invita a mantenere più alta la soglia destinata agli utenti quando il sito usa molto AJAX.
La configurazione corretta parte quindi dal comportamento del sito, non da una tabella copiata da un altro dominio.
Country Blocking: utile soltanto quando la geografia ha un significato reale
Il Country Blocking è una funzione Premium.
Può avere senso se un’area geografica non fa realmente parte del pubblico del servizio ed è una sorgente ricorrente di traffico malevolo. Ma bloccare interi paesi “per sicurezza” è una decisione molto più invasiva del blocco di un singolo attaccante.
Puoi escludere visitatori legittimi, personale in viaggio, utenti con VPN e servizi automatici. Wordfence stesso raccomanda di limitare i blocchi geografici e rivalutarli periodicamente.
Per questo non attiverei liste di paesi copiate da guide generiche.
Wordfence rallenta WordPress?
Può aumentare il consumo di risorse, ma dire semplicemente “Wordfence rallenta WordPress” non descrive bene il problema.
Il plugin deve compiere operazioni che hanno un costo:
- leggere molti file durante le scansioni;
- confrontarne il contenuto;
- eseguire controlli sulle richieste;
- registrare eventi;
- scrivere dati nel database;
- elaborare rate limiting e blocking.
Quanto questo costo sia percepibile dipende da hosting, numero di file, quantità di traffico, configurazione e funzioni abilitate.
Un piccolo sito su un server con abbondanti risorse può non mostrare problemi evidenti. Una grande installazione con molti file e un database già sotto pressione può invece richiedere tuning.
Prima riduci i picchi, non eliminare la sicurezza
Se la scansione crea picchi di CPU, non partirei disattivando tutto.
Wordfence mette a disposizione Use low resource scanning, che distribuisce maggiormente il lavoro nel tempo. La scansione impiega più tempo, ma riduce il carico di picco.
Una sequenza sensata è:
- utilizzare Standard Scan;
- abilitare low resource scanning se necessario;
- mantenere Live Traffic su Security Only;
- ridurre log non necessari;
- controllare il numero di file da analizzare;
- verificare eventuali errori o timeout;
- misurare nuovamente CPU, memoria e database.
Solo dopo ha senso valutare compromessi più forti.
Su siti molto trafficati, sposta fuori dall’origine ciò che può essere filtrato prima
Questo è il punto in cui un livello esterno può diventare importante.
Se gran parte del problema è costituita da bot, volumetria elevata o richieste che non hanno motivo di raggiungere PHP, filtrare una parte del traffico prima dell’origine può ridurre il lavoro che il server deve svolgere.
Wordfence resta utile per il livello WordPress, mentre CDN, reverse proxy o strumenti infrastrutturali possono occuparsi di altri problemi.
Non è una duplicazione automatica: dipende dal tipo di rischio che stai cercando di ridurre.
Wordfence Free vs Premium: cosa cambia davvero
La versione gratuita non è una demo priva delle funzioni essenziali. Include già endpoint WAF, scanner, Login Security, 2FA, passkey, brute force protection, alert, Live Traffic e diversi strumenti di blocking.
La differenza più importante con Premium è la tempestività della threat intelligence.
Free riceve alcune protezioni con 30 giorni di ritardo
Per le nuove regole firewall e le nuove firme malware, gli utenti Free ricevono gli aggiornamenti 30 giorni dopo i clienti Premium.
Non significa che il firewall Free sia spento per 30 giorni.
Le regole e le firme già disponibili continuano a funzionare normalmente. Il ritardo riguarda le nuove protezioni pubblicate attraverso il feed di Wordfence.
La domanda corretta diventa quindi: quanto conta per questo sito ridurre quella finestra?
Per un blog personale il trade-off può essere accettabile.
Per un ecommerce, un sito che genera fatturato o un’installazione che gestisce dati e processi importanti, la possibilità di ricevere le nuove regole e firme immediatamente pesa di più.
Cosa aggiunge Premium
Oltre agli aggiornamenti in tempo reale, Premium comprende funzioni come:
- Real-Time IP Blocklist;
- Country Blocking;
- controlli di reputazione aggiuntivi;
- Audit Log;
- supporto Premium.
Il prezzo ufficiale corrente è 149 dollari per sito all’anno per una singola licenza, con sconti progressivi per quantità. Prezzi e condizioni sono naturalmente elementi volatili e vanno ricontrollati prima dell’acquisto.
| Funzione | Free | Premium |
|---|---|---|
| Endpoint firewall | Sì | Sì |
| Malware scanner | Sì | Sì |
| Passkey | Sì | Sì |
| 2FA | Sì | Sì |
| Nuove firewall rules | Ritardo di 30 giorni | In tempo reale |
| Nuove malware signatures | Ritardo di 30 giorni | In tempo reale |
| Real-Time IP Blocklist | No | Sì |
| Country Blocking | No | Sì |
| Audit Log Premium | No | Sì |
| Supporto Premium | No | Sì |
Quando sceglierei Free e quando Premium
Wordfence Free ha molto senso per:
- blog;
- portfolio;
- siti vetrina;
- progetti personali;
- piccoli siti con budget limitato;
- installazioni in cui il rischio e il costo di un incidente sono relativamente contenuti.
Wordfence Premium diventa più interessante per:
- WooCommerce;
- membership;
- siti che generano lead o fatturato;
- progetti aziendali;
- installazioni in cui una compromissione avrebbe un costo rilevante;
- chi vuole ridurre la finestra fra l’identificazione di una nuova minaccia e l’arrivo delle relative regole/firme.
Non acquisterei Premium soltanto perché “a pagamento è meglio”. Lo sceglierei quando il vantaggio specifico della threat intelligence in tempo reale e delle funzioni aggiuntive giustifica il costo.
Se invece stai confrontando architetture e prodotti differenti, abbiamo già una pagina dedicata a Wordfence vs Sucuri, così questa guida può restare focalizzata sull’utilizzo e sulla configurazione di Wordfence.
Wordfence può rimuovere malware da un sito hackerato?
Può aiutare molto, ma questo è uno dei punti su cui serve maggiore precisione.
Wordfence può trovare malware, backdoor, file alterati e codice sospetto. Può inoltre riparare alcuni file confrontandoli con le copie ufficiali oppure aiutarti a eliminare file chiaramente malevoli.
Ma installare Wordfence dopo una compromissione non equivale automaticamente a bonificare il sito.
La stessa documentazione Wordfence chiarisce che il plugin può assistere nella pulizia di buona parte del codice malevolo, ma non costituisce da solo un ripristino completo e automatico di un sito compromesso.
Perché trovare il malware non basta
Immagina di trovare e cancellare una backdoor dentro un plugin.
Resta ancora da capire:
- come è stata caricata;
- se esiste un’altra backdoor;
- se sono stati creati amministratori nascosti;
- se sono state alterate opzioni nel database;
- se sono stati modificati cron job o file di configurazione;
- se esistono altri siti compromessi nello stesso hosting;
- se le credenziali FTP, SSH o database sono state sottratte;
- se un backup che stai per ripristinare contiene già l’infezione;
- quale vulnerabilità abbia permesso l’accesso iniziale.
Se elimini soltanto il payload visibile ma lasci aperto il vettore di ingresso, l’infezione può tornare.
Cosa fare se il sito è già compromesso
La priorità cambia da prevenzione a incident response.
In genere servono:
- contenere l’incidente;
- preservare ciò che può essere utile all’analisi;
- identificare file, utenti e modifiche sospette;
- determinare il vettore di compromissione quando possibile;
- eliminare malware e persistenze;
- ripristinare file legittimi;
- aggiornare o sostituire il componente vulnerabile;
- cambiare le credenziali interessate;
- rigenerare secret e chiavi quando necessario;
- verificare database, cron e altri siti collegati;
- ripetere le scansioni;
- monitorare il sito dopo la riapertura.
Se ti trovi già in questo scenario, la risorsa più pertinente non è una configurazione più aggressiva del firewall: è un processo di rimozione malware da WordPress che includa anche la ricerca della causa e delle persistenze.
Le impostazioni Wordfence che eviterei di attivare alla cieca
Wordfence offre molte opzioni perché siti differenti hanno esigenze differenti. Il rovescio della medaglia è che diventa facile trasformare una configurazione personalizzabile in una gara a chi attiva più controlli.
Ci sono alcune scelte che eviterei come default.
Registrare tutto il traffico senza un motivo
Se Live Traffic su Security Only risponde già al bisogno di monitoraggio, registrare ogni visita aggiunge soprattutto attività e dati.
Passerei temporaneamente ad All Traffic durante una diagnosi e tornerei poi alla modalità più leggera.
Usare sempre High Sensitivity Scan
La maggiore sensibilità aumenta il numero di pattern esaminati e può aumentare i falsi positivi.
Usala quando stai investigando un problema, non perché la parola “High” sembra indicare automaticamente una protezione migliore.
Bloccare interi paesi senza analizzare pubblico e infrastruttura
La provenienza geografica non equivale alla pericolosità di una richiesta.
Se il business è internazionale, se esistono utenti in viaggio, crawler, servizi esterni o VPN, un blocco geografico può introdurre effetti collaterali più importanti del problema che vuole risolvere.
Ridurre eccessivamente le soglie di rate limiting
Prima devi capire cosa rappresenta il traffico normale del sito.
Soglie troppo basse possono colpire utenti legittimi, bot utili, API o richieste AJAX.
Installare più suite di sicurezza che fanno lo stesso lavoro
Due plugin che modificano il login, applicano 2FA, filtrano richieste e impostano regole sovrapposte non raddoppiano necessariamente la sicurezza.
Possono invece aumentare:
- complessità;
- consumo di risorse;
- falsi positivi;
- incompatibilità;
- difficoltà di troubleshooting.
Wordfence mantiene anche una documentazione sui conflitti conosciuti con altri plugin e alcune combinazioni possono interferire proprio con 2FA e passkey.
La domanda dovrebbe essere quale controllo manca, non quanti plugin di sicurezza riesci a installare.
Quando usare Wordfence e quando serve un’architettura diversa
Wordfence è adatto a molti siti WordPress, ma il modo in cui lo configurerei cambia con il valore e il profilo dell’installazione.
Blog e piccoli siti WordPress
Per un sito relativamente semplice partirei da:
- Wordfence Free;
- Extended Protection;
- firewall Enabled and Protecting;
- IP detection verificata;
- Standard Scan;
- passkey o 2FA per gli amministratori;
- Live Traffic su Security Only;
- alert realmente utili;
- backup indipendenti.
È già una base consistente senza trasformare ogni funzione avanzata in un requisito.
WooCommerce e siti che generano fatturato
Qui aumentano sia il valore degli account sia il costo potenziale di un fermo.
Oltre alla configurazione precedente valuterei:
- passkey/2FA per amministratori e ruoli privilegiati;
- test dell’integrazione Login Security con il frontend;
- Premium se la protezione in tempo reale giustifica il costo;
- logging utile all’investigazione;
- monitoraggio più strutturato;
- un layer esterno quando il traffico o il rischio lo richiedono;
- un piano di incident response già definito.
L’obiettivo non è “attivare tutto”: è ridurre il tempo necessario per prevenire, rilevare e reagire.
Siti ad alto traffico o hosting molto limitati
Se le risorse sono il collo di bottiglia, separerei i problemi.
Lo scanner può essere alleggerito.
Live Traffic può registrare soltanto gli eventi di sicurezza.
Bot e volumetria possono essere filtrati più a monte quando l’architettura lo consente.
Il rate limiting può essere distribuito tra infrastruttura e applicazione.
Wordfence continua a proteggere WordPress, mentre altri livelli gestiscono meglio ciò che non ha motivo di arrivare all’applicazione.
Se il tuo obiettivo principale è confrontare strumenti specifici per questo livello, puoi vedere anche la nostra selezione dei plugin firewall per WordPress.
Conclusione
Wordfence è una scelta solida quando vuoi concentrare in WordPress firewall, malware scanning e protezione degli accessi, ma il risultato dipende più dalla configurazione che dal numero di opzioni abilitate.
Le prime cose che controllerei sono semplici: Extended Protection realmente attiva, rilevazione corretta degli IP, passkey o 2FA sugli account privilegiati, Standard Scan e Live Traffic su Security Only. Da lì puoi aumentare la protezione soltanto dove traffico, rischio e valore del sito lo rendono necessario.
La versione Free è già adatta a molti siti. Premium diventa più interessante quando conta ricevere immediatamente nuove regole firewall e firme malware oppure quando servono funzioni come IP Blocklist, Country Blocking e Audit Log.
Il limite da ricordare è un altro: Wordfence protegge e aiuta a rilevare problemi, ma non trasforma automaticamente un sito già compromesso in un sito bonificato. Quando esiste un incidente reale, la priorità non è accendere un’altra opzione: è capire cosa è successo, rimuovere ogni persistenza e chiudere il vettore che ha permesso l’accesso.